Безопасная загрузка библиотек для предотвращения атак перед загрузкой DLL

Атаки на основе LoadLibrary

Когда приложение загружает библиотеку DLL, не указав полного пути, Windows пытается найти ее путем линейного поиска по хорошо определенному набору каталогов, который называется порядком поиска DLL. Если Windows находит ее в порядке поиска DLL, она загружается. Однако если Windows не найдет ее ни в каких каталогах в порядке поиска DLL, она возвратит сбой в операции загрузки DLL. Ниже порядок поиска DLL функций LoadLibraryи LoadLibraryEx,которые используются для динамической загрузки DLL:

1. Каталог, из которого было загружено приложение

2. Системный каталог

3. 16-битный системный каталог

4. Каталог Windows

5. Текущий рабочий каталог (CWD)

6. Каталоги, перечисленные в переменной среды PATH

Рассмотрим следующий сценарий:

• Приложение загружает DLL без указания полного пути, который предполагается найти в CWD приложения.

• Приложение полностью готово к обработке дела, если не находит DLL.

• Злоумышленнику известны эти сведения о приложении и он управляет CWD.

• Злоумышленник копирует собственную версию DLL в CWD. Предполагается, что у злоумышленника есть на это разрешение.

• Windows выполняет поиск в каталогах в порядке поиска DLL и находит библиотеку DLL в каталоге приложения.

В этом сценарии специальная DLL запускается в приложении и получает привилегии текущего пользователя.

С рекомендацией предотвратить эту атаки приложения могут удалить текущий рабочий каталог (CWD) из пути поиска DLL, позвонив

API SetDllDirectory, используя пустую строку (""). Если приложение зависит от загрузки DLL из текущего каталога, получите текущий рабочий каталог и используйте его для использования в полном пути LoadLibrary.



Мы также знаем, что некоторые разработчики используют LoadLibrary для проверки того, присутствует ли определенная DLL, чтобы определить, какая версия Windows управляется пользователем. Следует помнить, что это может сделать приложение уязвимым. Если в выпуске Windows, в который было выполнено приложение, действительно не существует библиотеки с таким же именем, злоумышленник может ввести в "CWD" библиотеку с таким же именем. Мы настоятельно рекомендуем не использовать этот метод. Вместо этого используйте рекомендуемые методы, описанные в статье MSDN "Получение версии системы".

Приложению, которое загружает сторонние подключаемый модуль и не может принудительно использовать для своих звонков LoadLibrary путь, следует вызвать SetDllDirectory("" для удаления CWD, а затем вызвать SetDllDirectory("расположение установки подключаемого модульа"), чтобы добавить каталог установки подключаемого модульа в путь поиска DLL.

Атаки на основе SearchPath

Аналогичная атака происходит, если приложение использует API SearchPath для поиска DLL и динамической загрузки пути, возвращаемого ПоискPath. Ниже порядок поиска по умолчанию для API SearchPath:

• Каталог, из которого было загружено приложение

• Текущий рабочий каталог (CWD)

• Системный каталог

• 16-битный системный каталог

• Каталог Windows

• Каталоги, перечисленные в переменной среды PATH

Не рекомендуется использовать этот шаблон, так как он не является безопасным. Не рекомендуется использовать функцию SearchPath для поиска файла DLL, если предполагается использование выходных данных во время вызова функции LoadLibrary. Это может привести к поиску неправильного файла DLL, так как порядок поиска функции SearchPath отличается от порядка поиска, используемого функцией LoadLibrary. Если вам нужно найти и загрузить DLL-файл, воспользуйтесь функцией LoadLibrary.

ShellExecute и CreateProcess

Варианты этих проблем также могут существовать, если разработчики называют похожие функции, такие как ShellExecuteи CreateProcess,для загрузки внешних исполняемых данных. Мы рекомендуем разработчикам будьте внимательны при загрузке биналоги и указывать путь к этому проекту. Это должно стать менее сложной при загрузке двоичного файла вместо библиотеки.

Руководство по выявлению загрузки библиотеки, не подавлекаемой в библиотеку

В качестве источника для загрузки библиотеки можно привести следующие примеры:

• В следующем примере кода приложение выполняет поиск по запросу "schannel.dll", используя наименее безопасный путь поиска. Если злоумышленник может разместить schannel.dll в CWD, оно будет загружаться еще до того, как приложение начнет поиск нужной библиотеки в каталоге Windows.

  DWORD retval = SearchPath(NULL, "schannel", ".dll", err, result, NULL); 
  HMODULE handle = LoadLibrary(result);

• В следующем примере кода приложение пытается загрузить библиотеку из различных мест приложения и операционной системы, описанных в начале этого документа для вызова LoadLibrary(). Если существует риск того, что файла нет, приложение может попытаться загрузить файл из текущего рабочего каталога. Этот сценарий немного менее опасно, чем в предыдущем примере. Однако при этом существует риск, связанный с тем, что среда не является полностью предсказуемой.

  HMODULE handle = LoadLibrary("schannel.dll");

Ниже приводится примеры более безопасной и безопасной загрузки библиотеки.

• В следующем примере кода библиотека загружается напрямую по полному пути. Угрозы того, что злоумышленник введет вредоносный код, нет, если у него нет разрешений на записи в целевом каталоге приложения.
  
  

  HMODULE handle = LoadLibrary("c:\\windows\\system32\\schannel.dll");

  
  
  Дополнительные сведения о том, как определить системный каталог, см. в следующих ресурсах:
  
  GetSystemDirectory

  http://msdn.microsoft.com/en-us/library/ms724373%28VS.85%29.aspxSHGetKnownFolderPath

  http://msdn.microsoft.com/en-us/library/bb762188%28v=VS.85%29.aspx

• В следующем примере кода текущий рабочий каталог удаляется из пути поиска перед вызовом LoadLibrary. Это значительно снижает риск, так как злоумышленнику необходимо будет управлять каталогом приложений, каталогом Windows или любыми каталогами, указанными в пути пользователя, чтобы использовать предзагрузку DLL.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");

• Во всех системах с установленным обновлением для системы безопасности 963027 (как описано в MS09-014)следующий код переместит веб-службу на последнее место в порядке поиска: Любые последующие вызовы к функции SetSearchPathMode внутри этого процесса, которые попытаются изменить режим поиска, будут сбой.

  SetDllDirectory ("");
  HMODULE handle = LoadLibrary("schannel.dll");
  

• В следующем примере кода текущий рабочий каталог удаляется из пути поиска перед вызовом LoadLibrary. Это значительно снижает риск, так как злоумышленнику необходимо будет управлять каталогом приложений, каталогом windows или любыми каталогами, которые указаны в пути пользователя, чтобы использовать предзагружаемую атаки DLL.

  SetSearchPathMode (BASE_SEARCH_PATH_ENABLE_SAFE_SEARCHMODE | BASE_SEARCH_PATH_PERMANENT );
  HMODULE handle = LoadLibrary("schannel.dll");